> ## Documentation Index
> Fetch the complete documentation index at: https://dragonwingdocs.qualcomm.com/llms.txt
> Use this file to discover all available pages before exploring further.
# 启用 UEFI 安全启动
UEFI 安全启动通过确保在启动期间仅加载经过验证且受信任的软件，来增强系统的安全性和可靠性。
[安全启动](./security-features#secure-boot)和 [UEFI 安全启动](./security-features#uefi-secure-boot)是不同的安全功能，涵盖用于认证的不同镜像。
UEFI 安全启动可以在安全启动设备上启用，也可以出于测试目的在非安全启动设备上启用。
## **前提条件**
### **主机要求**
1. 在 Linux 主机上安装 [OpenSSL 0.9.80 June 2010（或更高版本）](https://openssl-library.org/source/)。
2. 安装以下 [efitools](https://pkgs.org/download/efitools)：
> * cert-to-efi-sig-list：将 OpenSSL 证书转换为 EFI 签名列表
> * sign-efi-sig-list：对 EFI 签名列表进行签名
> * hash-efi-sig-list：从二进制文件创建哈希签名列表条目
### **在设备上配置重放保护内存块**
重放保护内存块（RPMB）配置是启用 UEFI 安全启动的必要条件。有关更多信息，请参阅 [RPMB](./security-features#rpmb)。
## **配置 UEFI 安全启动以生成密钥和证书**
你可以设置初始 UEFI 安全启动配置，并将密钥和证书转换为 UEFI 可以理解的格式。请参阅工作流程以了解设备外准备和设备上执行的过程。
**图：UEFI 安全启动工作流程**
**注意**
安全通信和加密由 OpenSSL 工具包提供支持，而 UEFI 安全启动的密钥和签名由 efitool 管理。
## **生成密钥和证书**
要启用 UEFI 安全启动，请生成一对用于签名和认证的密钥和证书。
密钥生成支持以下算法：
* 使用 SHA-256/SHA384 哈希算法的 RSA 2048/4096
* ECDSA secp256r1/secp384r1
以下过程以 RSA 2048 和 SHA-256 为例，提供生成密钥和证书的说明。
**注意**
* 在 Linux 机器上执行这些步骤时，请创建一个目录并在同一位置运行命令。
* 对于 ECC，请将 `rsa:2048` 替换为 `ec:secp384r1` 或 `ec:secp256r1`。对于 SHA384，请在以下命令中将 `-sha256` 替换为 `-sha384`。
### **生成 UID**
你可以生成 GUID 并创建三个新密钥，其中自签名证书为 CRT/PEM 格式，密钥为 `.key` 格式：
GUID 使用 `uuidgen` 生成签名所有者 GUID：
```text theme={null}
uuidgen --random > GUID.txt
```
### **创建 PK 密钥**
1. 创建 PK 密钥对（RSA-2048）和证书：
```text theme={null}
openssl req -new -x509 -newkey rsa:2048 -subj "/CN=Custom PK/" -keyout PK.key -out PK.crt -days 3650 -nodes -sha256
```
2. 将 `.crt` 文件转换为 `.cer` 文件：
```text theme={null}
openssl x509 -outform der -in PK.crt -out PK.cer
```
3. 将 `.crt` 文件转换为 `.esl` 文件：
```text theme={null}
cert-to-efi-sig-list -g "$(< GUID.txt)" PK.crt PK.esl
```
4. 使用 `.crt`、`.esl` 和 `.key` 文件签名并生成 `.auth` 文件：
```text theme={null}
sign-efi-sig-list -k PK.key -c PK.crt PK PK.esl PK.auth
```
### **创建 KEK 密钥**
1. 创建 KEK 密钥对（RSA-2048）和证书：
```text theme={null}
openssl req -new -x509 -newkey rsa:2048 -subj "/CN=Custom KEK/" -keyout KEK.key -out KEK.crt -days 3650 -nodes -sha256
```
2. 将 `.crt` 文件转换为 `.cer` 文件：
```text theme={null}
openssl x509 -outform der -in KEK.crt -out KEK.cer
```
3. 将 `.crt` 文件转换为 `.esl` 文件：
```text theme={null}
cert-to-efi-sig-list -g "$(< GUID.txt)" KEK.crt KEK.esl
```
4. 使用 `.crt`、`.esl` 和 `.key` 文件签名并生成 `.auth` 文件：
```text theme={null}
sign-efi-sig-list -k PK.key -c PK.crt KEK KEK.esl KEK.auth
```
### **创建 dB 密钥**
1. 创建 dB 密钥对（RSA-2048）和证书：
```text theme={null}
openssl req -new -x509 -newkey rsa:2048 -subj "/CN=Custom DB Signing Key 1/" -keyout db.key -out db.crt -days 3650 -nodes -sha256
```
2. 将 `.crt` 文件转换为 `.cer` 文件：
```text theme={null}
openssl x509 -outform der -in db.crt -out db.cer
```
3. 将 `.crt` 文件转换为 `.esl` 文件：
```text theme={null}
cert-to-efi-sig-list -g "$(< GUID.txt)" db.crt db.esl
```
4. 使用 `.crt`、`.esl` 和 `.key` 文件签名并生成 `.auth` 文件：
```text theme={null}
sign-efi-sig-list -k KEK.key -c KEK.crt db db.esl db.auth
```
## **签名镜像并将（.auth）密钥/已签名文件复制到 EFI 分区**
在使用 systemd-boot 时，EFI 系统分区由 EFI、loader 和 ostree 组成，其中包含与 EFI 相关的信息。DTB 分区由 dtb 目录组成。
EFI 系统分区保存用于系统启动和更新管理的基本文件，而 DTB 分区包含硬件配置信息。本节提供以下操作说明：
> * 对各种镜像进行签名。
> * 将 `(.auth)` 密钥和已签名文件复制到 EFI 分区和 DTB 分区目录。
> * 已签名的可执行镜像（如 `bootaa64.efi` 文件（systemd-boot））放置在 `efimountedbin/EFI/BOOT/` 目录中，`linux-.efi` 文件（Linux）镜像放置在 `efimountedbin/EFI/Linux` 目录中。
systemd-boot 会验证已签名的镜像，并且还用于注册以下内容：
> * UEFI 安全启动密钥放置在 `/keys` 中的特定目录中以进行密钥注册。systemd-boot 使用这些密钥，并在 UEFI 启动时服务期间将它们存储在 RPMB 中。
> * 你可以在 systemd-boot 加载器配置中配置等待时间（以秒为单位）。在等待时间内内核加载会被延迟，让你可以在 systemd-boot 菜单中查看和选择可用选项。
> * 设备树文件存储在 `dtbmountedbin/dtb` 目录中。这些文件在运行时由 UEFI 使用，并对设备树文件进行初始化。由于这些文件是非 PE 镜像，签名时会创建 `.sig` 文件并放置在同一目录中。
> | | **表：EFI 系统分区（efi.bin）** |
> | --------------------------------------- | --------------------------------------------------------------------------- |
> | `/EFI` | `/Loader` |
> | `/Boot/bootaa64.efi` | `loader.conf` |
> | `/Linux/linux-.efi` | `/keys/authkeys/db.auth` `/keys/authkeys/KEK.auth` `/keys/authkeys/PK.auth` |
> | | **表：DTB 分区（dtb.bin）** |
> | --- | --- |
> | `qclinux_fit.img (or combined-dtb.dtb)` | `qclinux_fit.sig (or combined-dtb.sig)` |
### **将已签名镜像和密钥放入 EFI 分区**
按照以下步骤在 Linux 主机上将已签名的镜像和密钥放入 EFI 分区。
1. 在 `contents.xml` 文件中找到 `efi.bin` 和 `dtb.bin` 的文件路径，以便从 meta 中获取 `efi.bin` 和 dtb.bin\` 文件。
2. 将 `efi.bin` 文件挂载到 `` 目录，并在 `` 目录中创建 `efimountedbin` 目录。
3. 将 `dtb.bin` 文件挂载到 \ 目录，并在 \ 目录中创建 `dtbmountedbin` 目录。
4. 挂载 `efi.bin` 文件：
```text theme={null}
sudo mount efi.bin efimountedbin
```
```text theme={null}
cd efimountedbin
```
5. 挂载 `dtb.bin` 文件：
```text theme={null}
sudo mount dtb.bin dtbmountedbin
```
```text theme={null}
cd dtbmountedbin
```
6. 在 `/efimountedbin/` 中创建 `loader/keys/authkeys` 目录链以注册密钥。
7. 选择并将 `.auth` 文件（PK.auth、KEK.auth 和 db.auth）复制到 `efimountedbin` 中的 authkeys 目录。
```text theme={null}
sudo cp /efimountedbin/loader/keys/authkeys/
```
8. 使用密钥对 `bootaa64.efi`、`linux-.efi` 和 `qclinux_fit.img`（或 `combined-dtb.dtb`）二进制文件进行签名，并复制到 `efimountedbin` 和 `dtbmountedbin` 目录中的相应目录。
1. 签名 `efi` 镜像：
> sbsign 工具专用于对符合 EFI 规范的 EFI 启动镜像（如 `bootaa64.efi`）进行签名。该工具用于 UEFI 安全启动签名，可在 Linux 系统上下载和使用。需要注意的是，sbsign 只能对扩展名为 `.efi` 的 PE 镜像进行签名。
>
> 1. 将 `bootaa64.efi` 文件从 `/efimountedbin/EFI/BOOT` 目录、`linux-.efi` 文件从 `efimountedbin/Linux/` 目录复制到 Linux 机器上的 `/images` 目录。
>
> 2. 签名镜像：
>
> > ```text theme={null}
> > cd /images
> > ```
> >
> > > ```text theme={null}
> > > sudo sbsign --key /keys/db.key --cert /keys/db.crt bootaa64.efi --output /bootaa64.efi
> > > ```
> >
> > ```text theme={null}
> > sudo sbsign -key /keys/db.key --cert /keys/db.crt linux.efi -output /linux.efi
> > ```
> 2) 签名 dtb 镜像：
> 由 UEFI 安全启动认证的所有镜像都是常规 API，通常为 PE 格式。签名头和大小被追加到现有的 PE 头中，签名被追加到已签名文件的末尾。
> 但是，当非 PE 格式的镜像需要 UEFI 安全启动认证时，由于缺少 PE 头及其用于识别镜像格式的魔数，认证会失败。因此，无法使用标准工具和路径进行镜像验证。
> 目前，在 UEFI 安全启动验证的镜像列表中，只有 dtb 文件是非 PE 格式镜像。作为 sbsign 工具的替代方案，你可以使用 `OpenSSL cms` 命令为非 PE 格式的镜像签名生成签名文件。
> 按照以下步骤对非 EFI 镜像进行签名：
> 1. 要对 dtb 文件和签名文件进行签名，请运行以下命令：
> > ```text theme={null}
> > openssl cms -sign -inkey <.key file> -signer <.crt file> -binary -in -out